Apache Metron
Apache Metron ist ein Big-Data-Framework für Cybersicherheits-Anwendungen, das eine Rundumsicht verschiedener, skalierter Sicherheitsdaten-Streams ermöglicht, damit Sicherheitsleitstellen Bedrohungen schnell erkennen und auf sie reagieren können.
Was genau macht Apache Metron
Apache Metron ist eine Streaming-Analyse-Anwendung, mit der Sicherheitsbeauftragte ihre Arbeit schneller und einfacher erledigen können. Es handelt sich um eine Datenanalyse- und Antwortfunktion der nächsten Generation für SOC (Security Operations Center), die eine Vielzahl von Open-Source-Big-Data-Technologien in ein zentrales Tool zur Sicherheitsüberwachung und -analyse integriert.
Es bietet die Möglichkeit, verschiedene Datenfeeds in großem Maßstab aufzunehmen, zu verarbeiten und zu speichern, einschließlich Sicherheits-Datenfeeds, Protokolle und Netzwerk-Metadaten, mit Funktionen zur Protokollaggregation, vollständigen Indizierung der Paketerfassung, Speicherung, erweiterten Verhaltensanalyse und Datenanreicherung unter Anwendung der aktuellsten Bedrohungsinformationen für die Sicherheitstelemetrie auf einer einzigen Plattform.
Apache Metron im Überblick
Apache Metron besteht aus vier Hauptfunktionen:
Security Data Lake für eine kostengünstige Möglichkeit, eine Vielzahl von Geschäftsdaten zu speichern und mit Sicherheitsdaten zu kombinieren. Verbesserte Telemetrie- und PCAP-Daten für lange Zeiträume. Dieser Data Lake stellt die für die Discovery-Analyse erforderliche Datenmenge bereit, und bietet einen Mechanismus für die Suche und Abfrage nach Betriebsanalysen.
Pluggable Framework bietet zum einen eine Vielzahl von Parsern für gängige Sicherheitsdatenquellen (pcap, netflow, bro, snort, fireye, sourcefire). Zum anderen stellt es ein Plug-in-Framework zur Verfügung, über das neue benutzerdefinierte Parser für neue Datenquellen und neue Anreicherungsdienste hinzugefügt, weitere kontextbezogene Informationen zu unformatierten Streaming-Daten und steckbare Erweiterungen für Bedrohungs-Intel-Feeds bereitgestellt und die Möglichkeit geschaffen werden, die Sicherheits-Dashboards anzupassen. Maschinelles Lernen und andere Modelle können ebenfalls in Echtzeit-Streams eingebunden werden und bieten eine enorme Erweiterbarkeit. Es kann zum Beispiel mühelos erweitert werden, um benutzerdefinierte Funktionen zum Transformieren von Daten mit integrierten Skripten und benutzerdefinierten Funktionen hinzuzufügen.
Threat Detection Platform basiert auf Algorithmen für maschinelles Lernen und der Erkennung von Anomalien, die in Echtzeit angewendet werden können, sobald Ereignisse eingehen.
Incident Response Application ist eine Weiterentwicklung der SIEM-Funktionen (Warnmeldungen, Threat Intel Framework, Agenten zur Aufnahme von Datenquellen), einschließlich Dienstprogrammen zur Paketwiedergabe, Beweissicherung und Verfolgungsdiensten, die häufig von SOC-Analysten verwendet werden.